Stuxnet'in Kaynak Kodu Tersine Mühendislikle Yeniden Oluşturuldu, GitHub'a Yüklendi

Siber güvenlik tarihinin en çok konuşulan olaylarından biri olan Stuxnet, on yılı aşkın süre sonra yeniden gündemde. Kimliğini açıklamayan bir güvenlik araştırmacısı, İran'ın nükleer tesislerini hedef alan ve fiziksel hasara yol açan ilk kötü amaçlı yazılım olarak bilinen Stuxnet'in kaynak kodunu tersine mühendislikle yeniden oluşturarak GitHub üzerinden herkesin erişimine açtı. 2010'ların başında dünya gündemini uzun süre meşgul eden, hakkında sayısız komplo teorisi üretilen ve bir kısmı sonradan doğrulanan bu solucan, şimdi teknoloji meraklıları tarafından derinlemesine incelenebilecek.

Stuxnet gerçekte neyi hedef almıştı?

Stuxnet'in nihai hedefi, İran'ın Natanz tesisindeki uranyum zenginleştirme santrifüjlerinde kullanılan Siemens endüstriyel kontrolörleriydi. Solucan hedefine ulaştığında, santrifüjlerin frekans çeviricilerini manipüle ederek rotorlara sinsice zarar veriyor, aynı anda tesis çalışanlarına her şeyin normal seyrettiğine dair sahte veriler göstererek fark edilmesini engelliyordu. Yayımlanan GitHub deposu, ilgilenenlerin bu mekanizmayı adım adım incelemesine imkân tanıyan derleme talimatları içeriyor. Ancak denemek isteyenlerin ağ bağlantısı olmayan bir Windows XP veya Windows 7 sanal makinesi kullanması, tam etkileri görebilmek içinse gerçek Siemens yazılımına ihtiyaç duyması gerekiyor.

Üç farklı yayılma mekanizması

Stuxnet, etkinliğini artırmak için üç ayrı yöntemle yayılıyordu. Birincisi, USB bellekler üzerinden bir sıfır gün açığı kullanarak, kullanıcı sürücü içeriğine bakar bakmaz otomatik olarak bulaşan bir mekanizmaydı. İkincisi, Windows Print Spooler'daki başka bir sıfır gün açığından yararlanarak, aynı yazıcıyı paylaşan makinelere sistem dosyaları yazmasıydı. Üçüncüsü ise erişilebilir ağ paylaşımlarına kendini kopyalamasıydı. Windows'un sürücü imza kontrollerini atlatmak için ise Realtek ve JMicron'dan çalınmış iki dijital sertifika kullanılmıştı; bu da saldırının ne kadar üst düzey kaynaklarla planlandığının bir göstergesiydi.

Mühendislerin dizüstü bilgisayarları üzerinden sızma

Solucanın belki de en akıllıca tasarlanmış yönü, Siemens'in WinCC SQL Server veritabanına sızarak kendini Step 7 proje dosyalarına gömmesiydi. Bu dosyalar mühendisler arasında sürekli paylaşıldığından, ağ paylaşımı kontrolüne gerek kalmadan tesis içinde yayılmayı garantiliyordu. Son aşamada ise santrifüjlerle doğrudan iletişim kuran DLL dosyası ele geçiriliyor, PLC'lere (Programlanabilir Mantık Denetleyicileri) kötü amaçlı kod enjekte edilerek rotorlar sessizce bozuluyordu.

Operation Olympic Games ve solucanın kaçışı

Stuxnet'in, ABD ile İsrail arasında koordineli yürütüldüğü iddia edilen Operation Olympic Games adlı gizli operasyonun bir parçası olduğu öne sürülüyor. Bush ve Obama dönemlerinde sürdürüldüğü belirtilen bu girişimin, İsrail'in İran'a karşı tek taraflı bir askeri harekâta girişmesini önlemeyi amaçladığı iddia ediliyor. Yazılımın Pentagon ve İsrail'in Unit 8200 birimi tarafından geliştirildiği ve Natanz'daki santrifüjlerin yaklaşık yüzde 10'unu kalıcı olarak devre dışı bıraktığı belirtiliyor. Ancak solucanın bir tasarım hatası vardı: bulunduğu ortamı yeterince kontrol edemiyordu. Mühendislerin dizüstü bilgisayarlarını eve götürmesiyle internete sızdı ve dünya çapında güvenlik araştırmacılarının dikkatini çekti. Neyse ki içine gömülü 24 Haziran 2012 tarihli bir kendini imha mekanizması sayesinde yayılımı sınırlı kaldı.

Türkiye ve sanayi güvenliği açısından ne anlama geliyor?

Stuxnet'in kaynak kodunun kamuya açılması yalnızca nostaljik bir siber güvenlik anısı değil; aynı zamanda endüstriyel kontrol sistemlerinin (SCADA/ICS) güvenliğine dair güncel bir uyarı niteliği taşıyor. Türkiye'de de enerji santralleri, su arıtma tesisleri ve fabrikalarda benzer Siemens PLC altyapıları yaygın olarak kullanılıyor; bu da ülkemizdeki kritik altyapı operatörleri için Stuxnet benzeri saldırıların hâlâ teorik bir tehdit olmaktan çıkıp güncel bir ders niteliği taşıdığını gösteriyor. Kodun açık kaynak hâline gelmesi, bir yandan güvenlik araştırmacılarına savunma mekanizmaları geliştirme fırsatı sunarken, diğer yandan kötü niyetli aktörlerin benzer teknikleri incelemesi riskini de beraberinde getiriyor. Sanayi 4.0 dönüşümüyle birlikte OT (operasyonel teknoloji) güvenliğine yatırım yapan Türk şirketleri için bu gelişme, ağ segmentasyonu ve USB tabanlı erişim kontrollerinin hâlâ ne kadar kritik olduğunu bir kez daha hatırlatıyor.